서비스 이름과 맞물린 방화벽 규칙 삭제 명령

Windows 방화벽 규칙 두 개를 삭제하도록 지시한 프로세스 생성 기록에 upWire와 wire라는 이름이 남았다. 별도로 보고된 파일 자료에는 같은 이름의 Windows 서비스 경로가 있다. 단순한 방화벽 변경 경보보다 구체적인 연결이다. 그렇다면 이 기록은 해당 프로그램이 자신의 통신 설정을 정리한 흔적일까, 아니면 방어 설정을 바꾸려 한 행동일까. CTX Threat Intelligence가 검토한 자료에서 가장 강하게 뒷받침되는 사실은 서비스 이름과 일치하는 방화벽 규칙을 대상으로 삭제 명령이 실행됐다는 것이다. 명령을 받은 프로세스는 Windows의 netsh.exe였고, 각 이벤트에서 확인되는 직접 부모는 cmd.exe였다. 다만 그 위에서 명령 실행을 시작한 프로그램이나 삭제 결과까지 나타나지는 않는다. 따라서 이 사례의 핵심은 ‘방화벽 무력화가 확인됐다’는 결론이 아니라, 어떤 소프트웨어의 어떤 설정을 겨냥한 작업인지 조사 범위가 좁아졌다는 데 있다.